返信先を盗人に向かわせるメールヘッダー

これはランサムウェア、マルウェア、データ侵害を合わせたよりも多くのお金をアメリカの企業から奪う詐欺であり、通常はマルウェアをまったく含まない。悪意のあるリンクもない。感染したファイルも。アンチウイルスが検知するものもない。あなたの最高財務責任者（CFO）から来たように見えるメールと、静かに別の場所に向かう返信があるだけだ。

その別の場所が秘密だ。そしてそれはほぼどのメールクライアントも表示しないヘッダーフィールドに潜んでいる。

そのフィールドは Reply-To という。インターネットメール標準の初期から存在しており、RFC 5322 はそれを「すべき」応答を向けるアドレスとして定義している（From アドレスとは別）。合法的な使用では退屈で役に立つ。ニュースレターは noreply@company.com から送信されるが Reply-To を support@company.com に設定し、質問が人間に届くようにする。それだ。それが正当な仕事だ。

ビジネスメール詐欺はその利便性を武器に変える。From アドレスを詐称する難しい技術的作業（これは SPF、DKIM、DMARC のアラームを発動させフラグされる）ではなく、攻撃者は似たようなドメインか使い捨ての Gmail を登録するだけだ。そして表示名を「Karen Vasquez, CFO」に設定すれば受信箱には太字で見知った人名が表示される。実際の From アドレスは karen.vasquez.finance@gmail.com かもしれないが、あなたはそれを見ない；「Karen Vasquez」を見るだけだ。そして重要なことに、Reply-To を自分たちが管理するアドレスに設定する。

あなたはメールを読む。短く、もっともらしく、少し緊急だ。「席にいますか？銀行が閉まる前に送金の処理をしてもらう必要があります」。あなたは返信をクリックする。あなたのクライアントは親切にも、応答を From ではなく Reply-To に宛てる。あなたは今攻撃者と話をしており、送信するメッセージはすべてあなたが罠にかかったことを確認する。

この規模は丸め誤差ではない。FBI のインターネット犯罪苦情センター（Internet Crime Complaint Center）は 2023 年だけで報告された BEC 損失$2.9 billion を記録し、21,000 件以上の苦情にわたった。これは報告された数字であり、気づいて申し立てた人からの数字だ。実際の数字はより大きい。クリアされた送金は調整までは通常の火曜日に見えるからだ。

この問題を悪化させるのは防御がそこに在り、隠されているということだ。すべてのメールクライアントは Reply-To の値を知っている。ほぼどれもそれを表面化させない。Gmail は送信者を表示名と小さなキャレット（クリックする必要がある）に折りたたむ。Outlook は実際のアドレスを「ソースを表示」またはほとんどの人が開いたことのないプロパティダイアログの下に埋める。その詐欺を明かすの一つのフィールドが、インターフェースが雑然とした情報として扱うその一つのフィールドなのだ。

だから習慣を訓練しよう。お金、変更された銀行詳細、または緊急性に関わるものに返信する前に、ヘッダーを展開する。Gmail では送信者名の横のダウン矢印をクリックし、実際の「reply-to」行を読む。From が一つのことを言い Reply-To が異なるメールボックスを指している場合、停止する。その不一致は財務メールでは滅多に無実ではない。

さらに良いのは、まったく返信しないことだ。その人のために既に保存されているアドレスに新しいメッセージを始めるか、メールから得なかった番号で電話をかける。攻撃者は彼らが構築したスレッド内にいることを当てにしている。

この詐欺の陰鬱な優雅さは、ルールを破らないことですべての自動チェックを通過することだ。From アドレスは技術的に実在している。ドメインは問題なく認証される。何も詐造されていない。嘘は配管にはない — それはあなたのソフトウェアが見る必要がないと決めたその一行にあるのだ。